在数字化时代个人信息安全风险日益凸显的背景下，GB/T 35273-2020《信息安全技术 个人信息安全规范》于 2020 年 3 月 6 日发布、10 月 1 日正式实施，替代 2017 版标准，成为各类组织处理个人信息的核心合规依据，也为个人信息权益保护筑牢制度防线。该标准由全国信息安全标准化技术委员会归口，国内多家科研机构、互联网企业参与起草，紧扣《网络安全法》等法规要求，对个人信息处理全流程作出系统性规范，同时明确组织管理责任与个人主体权利，兼具专业性与实操性。
标准确立了权责一致、目的明确、选择同意、最小必要、公开透明、确保安全、主体参与七大核心原则，成为所有个人信息处理活动的根本遵循。其中 “最小必要”“选择同意” 原则贯穿全程，要求组织仅收集实现业务目的所需最少信息，且需在个人充分知情的前提下获取明确授权，从源头遏制过度收集、滥用个人信息的行为。
相较于 2017 版，新版标准新增 9 项核心内容、修改 4 项关键条款，重点强化了六大方面要求：一是明确多项业务功能自主选择，禁止捆绑授权，关闭功能的途径需与开启同等便捷，不得因拒绝扩展功能降低基本服务质量；二是新增用户画像与个性化展示限制，要求画像不得包含淫秽、歧视内容，电商服务需提供非个性化选项，新闻服务需支持关闭个性化模式；三是细化个人生物识别信息保护，收集前需单独告知并取得明示同意，存储时与身份信息分离，原则上不保存原始信息；四是新增第三方接入管理，要求组织建立接入机制，明确双方安全责任，督促第三方履行授权义务；五是强化个人信息安全工程，要求产品开发阶段同步规划、建设、使用保护措施；六是完善注销账户流程，要求注销方法简便，人工处理需在 15 个工作日内完成，注销后及时删除或匿名化个人信息。
在个人信息处理全流程规范上，标准实现了从收集到处置的全链条覆盖。收集环节强调合法性，禁止欺诈、隐瞒收集，对敏感信息、未成年人信息、生物识别信息需取得明示同意；存储环节要求期限最小化，超期后删除或匿名化，敏感信息传输存储需加密；使用环节建立最小授权访问控制，展示信息需去标识化，自动决策机制需每年开展安全影响评估并支持人工复核；流转环节规范委托处理、共享转让行为，个人生物识别信息原则上不共享、不披露，跨境传输需遵循国家规定；安全事件处置环节要求组织制定应急预案，每年至少开展一次应急演练，事件发生后及时记录、上报并告知受影响个人。
标准明确了个人信息主体的八项核心权利，包括查询、更正、删除个人信息，撤回授权同意、注销账户，获取信息副本等，同时要求组织在 30 天内响应主体合理请求，且合理请求原则上不收取费用。针对注销账户、撤回授权等高频需求，标准细化操作要求，杜绝设置不合理条件，保障个人行使权利的便捷性。
在组织管理层面，标准提出刚性要求：法定代表人对个人信息安全负全面责任，从业人员超 200 人、处理超 100 万人个人信息、处理超 10 万人敏感信息的组织，必须设立专职个人信息保护负责人和工作机构。同时要求组织建立个人信息处理活动记录、开展安全影响评估、加强人员培训与安全审计，每年至少开展一次个人信息安全专业化培训，建立自动化审计系统监测处理活动。
此外，标准配套 4 个资料性附录，为落地实施提供实操指引：附录 A、B 明确个人信息与敏感信息的判定方法及示例，附录 C 给出实现个人自主意愿的方法并提供交互界面模板，附录 D 提供个人信息保护政策模板，让组织有章可循、有例可依。
作为个人信息保护领域的重要国家标准，GB/T 35273-2020 既是组织开展个人信息处理活动的合规指南，也是监管部门监督评估的重要依据。在《个人信息保护法》等法规落地的背景下，该标准的落地实施进一步完善了个人信息保护制度体系，推动组织构建全流程、常态化的个人信息安全保护机制，为数字化发展筑牢个人信息安全屏障。
更多文章：
实力认证！领世达实验室顺利通过 EN 18031-1 能力验证，软件安全测试技术获国家级认可！
高效开案！PSTI测试开案全流程指南
高效开案！EN 18031测试开案全流程指南
【JC-STAR】STAR-1及STAR-2合规标签申请流程概述
公司简介
深圳市领世达检测技术有限公司专注第三方检测认证与技术咨询，主营各国的产品网络安全、国际市场准入及产品可靠性测试服务。核心覆盖 EN 18031、PSTI、CRA、CE、FCC、UKCA 、JC-Star、CSA 2024、SB-327、NIST 8259A等认证，提供网络安全测试、无线产品RF测试、以及环境可靠性检测等一站式解决方案。公司依托集团技术实力，遵循 ISO/IEC 17025 体系，为消费电子、物联网、通讯电子等企业提供专业高效的合规入市服务，助力客户突破全球贸易技术壁垒。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前